L'obligation de transparence IA est en vigueur. Que montre votre site ?
Depuis le 2 août 2026, les obligations de transparence de l'article 50 du règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689) s'appliquent. Exploiter un chatbot, publier des images ou des textes générés par IA impose désormais de le faire savoir — non pas au détour des mentions légales, mais là où le visiteur peut le percevoir. C'est ce que recouvre, en pratique, l'expression obligation de transparence IA.
Cette page passe en revue les quatre obligations de l'article 50, qui elles visent (fournisseur ou déployeur), les amendes de l'article 99, l'état — encore provisoire — de la supervision en France, le report étroit du 2 décembre 2026 et ce qu'un scan externe peut documenter. (Version anglaise : EU AI Act in France.)
Remarque : l'interface et le rapport de scan sont pour l'instant en anglais.
Les quatre obligations de l'article 50
L'intitulé officiel de l'article parle d'« obligations de transparence pour les fournisseurs et les déployeurs de certains systèmes d'IA ». Quatre de ces obligations concernent ce qui est visible sur un site web — et peuvent donc être documentées de l'extérieur :
| Obligation | Ce que le règlement exige | Ce que le scan documente |
|---|---|---|
| Information sur les chatbots Art. 50, par. 1 |
Les systèmes d'IA destinés à interagir directement avec des personnes physiques doivent être conçus de sorte que celles-ci soient informées qu'elles interagissent avec un système d'IA — sauf si cela est évident au regard des circonstances et du contexte d'utilisation. | Le scan ouvre le widget de chat comme un visiteur, vérifie si l'information apparaît avant ou avec la première interaction et pose la question de contrôle « Are you an AI? ». Résultat : constaté, non constaté ou SIGNALÉ. |
| Marquage lisible par machine Art. 50, par. 2 |
Les sorties des systèmes d'IA génératifs doivent être marquées dans un format lisible par machine et identifiables comme générées ou manipulées par IA — en pratique, des informations de provenance intégrées au fichier, comme les C2PA Content Credentials ou les métadonnées IPTC. | Le scan lit les métadonnées intégrées d'un échantillon de médias publiés et documente ce qui est présent — et ce que les pipelines d'images et les CDN ont retiré en chemin lors de l'optimisation. |
| Signalement des deepfakes Art. 50, par. 4 |
Les déployeurs de systèmes qui génèrent ou manipulent des deepfakes doivent indiquer que les contenus ont été générés ou manipulés par IA. | Les étiquettes visibles — y compris les icônes officielles de l'UE — sont documentées. Un scan externe ne peut pas établir qu'un contenu est réellement généré par IA : sur ce point, le rapport s'appuie sur votre propre déclaration, accompagnée d'une attestation. |
| Signalement des textes générés par IA Art. 50, par. 4 |
Les textes générés ou manipulés par IA et publiés pour informer le public sur des questions d'intérêt public doivent être signalés — sauf s'ils ont fait l'objet d'un contrôle humain ou éditorial et qu'une personne physique ou morale en assume la responsabilité éditoriale. | Le scan examine les pages de type article à la recherche de mentions visibles et consigne le constat ; l'exception de responsabilité éditoriale est documentée par votre déclaration et son attestation. |
L'article 50, paragraphe 3 (reconnaissance des émotions, catégorisation biométrique) est une obligation d'exploitation, généralement invisible de l'extérieur : un scan externe la classe NON VÉRIFIABLE. Pour toutes les obligations, le moment est fixé par le paragraphe 5 : l'information doit être fournie au plus tard au moment de la première interaction, de manière claire et reconnaissable. Les lignes directrices publiées par la Commission européenne le 20 juillet 2026 précisent qu'une mention dans les conditions générales, un nom de bot ou une icône de robot ne suffisent normalement pas à eux seuls.
Fournisseur ou déployeur : qui est tenu ?
Le règlement distingue le fournisseur (qui développe le système d'IA) du déployeur (qui l'utilise sous sa propre responsabilité). Exploiter sur son site le widget de chat d'un éditeur tiers fait de vous un déployeur : l'éditeur est fournisseur, mais la configuration et ce que vos visiteurs voient relèvent de vous. « Le fournisseur s'en occupe sûrement » est une hypothèse — qui se vérifie.
Le siège social ne protège pas : le règlement couvre expressément les fournisseurs et déployeurs établis hors de l'UE dès lors que les sorties du système sont utilisées dans l'Union. Une entreprise américaine, britannique ou suisse servant des utilisateurs en France est donc couverte. Il n'existe pas d'exemption générale pour les petites entreprises : les PME bénéficient d'un plafond d'amende plus bas, pas d'une dispense.
Les amendes : l'article 99
Les manquements à l'article 50 peuvent être sanctionnés d'amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu (article 99, paragraphe 4, point g). Pour les PME, y compris les jeunes entreprises, c'est le montant le plus bas qui s'applique (article 99, paragraphe 6). L'exécution relève des autorités nationales de surveillance du marché.
Qui supervise en France
À notre dernière vérification, la France n'avait pas encore adopté la désignation de ses autorités au titre de l'article 70. Un schéma gouvernemental du 9 septembre 2025 propose un modèle sectoriel : la DGCCRF comme coordinateur et point de contact unique, la CNIL comme chef de file de fait dès que l'IA traite des données personnelles ou biométriques, l'Arcom pour l'audiovisuel et les deepfakes, l'ACPR (finance) et l'ANSSI (cybersécurité) dans leurs secteurs. Ce schéma attend encore son adoption parlementaire : la carte de la supervision est proposée, pas définitive. L'article 50, lui, s'applique depuis le 2 août 2026 indépendamment de ce calendrier.
Concrètement : un chatbot qui se présente comme un humain entre déjà dans le registre de la DGCCRF (pratiques commerciales trompeuses) ; dès que votre assistant traite des données personnelles, la CNIL est déjà compétente au titre du RGPD, ses recommandations sur l'IA étant ce qui se rapproche le plus d'attentes officielles françaises ; les deepfakes et médias synthétiques (art. 50, par. 4) correspondent au périmètre proposé de l'Arcom.
La langue compte aussi : pour un site servant la France en français, visez une première ligne du type « Vous discutez avec un assistant IA », visible dès la première interaction plutôt que reléguée dans les mentions légales, et conservez-en la capture d'écran datée dans votre dossier de preuves — une information affichée uniquement en anglais sur une boutique en .fr est une mention peu robuste.
Le 2 décembre 2026 : un report étroit, rien de plus
Une seule disposition de l'article 50 bénéficie d'un report : le marquage lisible par machine du paragraphe 2, et uniquement pour les systèmes génératifs mis sur le marché avant le 2 août 2026. Pour eux, l'obligation ne prend effet que le 2 décembre 2026. Tout le reste — l'information sur les chatbots (par. 1), le signalement des deepfakes et des textes générés par IA (par. 4) — s'applique déjà, sans période transitoire.
Le « Digital Omnibus » (règlement (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026) n'y change rien : il a reporté des échéances du régime des systèmes à haut risque et a laissé l'article 50 intact. Les résumés affirmant le contraire reposent sur des états de négociation dépassés ; seul fait foi le texte du Journal officiel.
Ce qu'un scan externe documente — et ce qu'il ne peut pas faire
DisclosureProof ne lit pas votre code et ne demande aucun accès : le scan visite votre page d'accueil comme un premier visiteur — widget de chat, question de contrôle « Are you an AI? », métadonnées d'un échantillon de médias publiés, étiquettes visibles — puis scelle le tout : captures d'écran horodatées et manifeste d'empreintes, dont l'intégrité est vérifiable de façon indépendante sur la page publique de vérification.
Chaque constat reste prudent : constaté, non constaté ou SIGNALÉ — « non constaté » n'est pas un constat d'infraction, seulement celui qu'un élément n'était pas perceptible pour un visiteur à un moment donné. Le rapport ne dit jamais que votre site est « conforme » : un scan externe ne peut pas certifier la conformité, une partie de l'article 50 n'étant pas observable de l'extérieur. Établir qu'un contenu est réellement généré par IA lui échappe aussi : ce point passe par votre propre déclaration, accompagnée d'une attestation. Les cas limites (exception éditoriale du paragraphe 4, date de mise sur le marché) relèvent d'un conseil juridique qualifié.
Questions fréquentes
L'obligation de transparence IA s'applique-t-elle déjà ?
Oui. Les obligations de transparence de l'article 50 du règlement IA (règlement (UE) 2024/1689) s'appliquent depuis le 2 août 2026, sans délai de grâce général. La seule exception est étroite : pour les systèmes génératifs mis sur le marché avant le 2 août 2026, le marquage lisible par machine de l'article 50, paragraphe 2, ne prend effet que le 2 décembre 2026. Tout le reste — l'information sur les chatbots (par. 1), le signalement des deepfakes et des textes générés par IA (par. 4) — s'applique déjà.
La France n'a pas encore désigné ses autorités : sommes-nous quand même tenus ?
Oui. Le règlement est un texte de l'UE directement applicable : les obligations s'imposent depuis le 2 août 2026, que la France ait ou non achevé sa loi nationale de désignation. Le schéma proposé (la DGCCRF comme coordinateur, la CNIL, l'Arcom et les régulateurs sectoriels dans leurs domaines) indique qui viendra probablement frapper à la porte, pas si l'obligation existe.
Quelles amendes en cas de manquement ?
Les manquements aux obligations de transparence de l'article 50 peuvent être sanctionnés, au titre de l'article 99, paragraphe 4, point g), d'amendes allant jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Pour les PME, y compris les jeunes entreprises, c'est le montant le plus bas qui s'applique (article 99, paragraphe 6).
Une mention dans les CGU ou un nom de bot suffit-il ?
Non. L'article 50, paragraphe 5, exige que l'information soit fournie au plus tard au moment de la première interaction, de manière claire et reconnaissable — donc là où l'interaction a effectivement lieu. Selon les lignes directrices publiées par la Commission européenne le 20 juillet 2026, une mention dans les conditions générales, un nom de bot ou une icône de robot ne suffisent normalement pas à eux seuls.
Le Digital Omnibus a-t-il reporté l'article 50 ?
Non. Le règlement (UE) 2026/1744 (le « Digital Omnibus »), publié au Journal officiel le 24 juillet 2026 et en vigueur depuis le 27 juillet 2026, a reporté des échéances du régime des systèmes à haut risque mais a laissé l'article 50 intact. Pour les obligations de transparence, l'Omnibus ne change rien — le texte qui fait foi est celui publié au Journal officiel, pas des états de négociation antérieurs.
Sources
- Règlement (UE) 2024/1689 (EUR-Lex, version française) — articles 50 et 99
- Règlement (UE) 2026/1744 (EUR-Lex) — le Digital Omnibus, publié le 24 juillet 2026
- Commission européenne : lignes directrices sur les obligations de transparence de l'article 50 (20 juillet 2026 ; en anglais)
- CNIL : intelligence artificielle — questions-réponses et recommandations sur le règlement IA
Cette page situe l'état du droit à titre d'orientation. Elle ne constitue pas un conseil juridique ; seuls font foi les textes réglementaires cités ci-dessus. Lorsque votre situation n'est pas claire, elle relève d'un conseil qualifié.
Que montre votre site à un premier visiteur ?
Le scan visite votre page d'accueil comme un premier visiteur, interroge votre chatbot, lit les métadonnées d'un échantillon de médias et scelle les preuves — captures d'écran, horodatage, manifeste d'empreintes. Gratuit, sans inscription. Le rapport est en anglais.
Lancer le scan gratuit